Piratage de l’ANTS : 11,7 millions de comptes exposés par une faille d’école

Le 15 avril 2026 ^[1], l’Agence nationale des titres sécurisés ^[2] détecte un incident de sécurité sur son portail moncompte.ants.gouv.fr. Six jours plus tard, le ministère de l’Intérieur ^[3] chiffre officiellement l’impact: 11,7 millions de comptes ^[4] concernés. Rapporté à la population française, cela représente environ un Français sur six. Les comptes parlent.

LES ENJEUX

Faille IDOR: défaillance technique basique

Le vecteur est une vulnérabilité IDOR sur l'API moncompte.ants.gouv.fr: le système ne vérifiait pas les droits d'accès lors de la consultation des fiches.

11,7 millions de comptes officiellement compromis

Nom, prénom, email, date de naissance, identifiant de compte systématiquement exposés. Adresse postale et téléphone dans de nombreux cas.

Deuxième incident en 8 mois, sans mesure corrective publique

L'ANTS avait fait face à une fuite de 12,7 à 13 millions de données en septembre 2025. Entre les deux incidents, aucune communication publique sur des mesures correctives.

Notification défaillante aux victimes

Le ministère a d'abord annoncé que tous les usagers avaient été prévenus, avant de reconnaître que la notification était « toujours en cours ».

Cadre pénal: jusqu'à 5 ans et 300 000 € pour le pirate

Accès frauduleux à un STAD (art. 323-1 CP) et collecte déloyale de données personnelles (art. 226-18 CP) sont encourus par breach3d s'il est identifié.

Le vecteur d’attaque, révélé par le blog spécialisé FrenchBreaches et confirmé par plusieurs analystes techniques, est d’une banalité désarmante: une vulnérabilité de type IDOR (Insecure Direct Object Reference) sur l’API du portail ^[5]. Concrètement, le système ne vérifiait pas si la personne qui consultait une fiche avait le droit de le faire ^[6]. Il suffisait de modifier un identifiant dans une requête pour consulter les données d’un autre citoyen ^[5]. Le hacker lui-même, qui opère sous le pseudonyme breach3d ^[7], l’a résumé à FrenchBreaches en une phrase: « c’était une faille vraiment stupide » ^[8].

Ce qui a fuité, ce qui n’a pas fuité

Le ministère de l’Intérieur ^[9] a détaillé le périmètre exact de l’exfiltration. Sont systématiquement concernés: identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance et identifiant unique du compte ^[10]. Pas systématiquement présents, mais aspirés dans de nombreux cas: adresse postale, lieu de naissance, numéro de téléphone ^[11]. En revanche, les pièces jointes et les données biométriques n’ont pas été touchées ^[12], et les documents administratifs transmis lors des démarches non plus ^[13].

Le ministère insiste: « ces données ne permettent pas d’accès illégitime au compte nominatif sur le portail » ^[14]. C’est techniquement exact. Ce qui ne l’est pas, c’est l’idée qu’elles seraient inoffensives. Avec nom, prénom, date de naissance, adresse postale et email, un attaquant dispose du kit complet pour industrialiser des campagnes de phishing crédibles. Les SMS de faux livreurs, les appels d’usurpateurs se réclamant de l’ANTAI ou d’autres institutions ^[15] vont devenir chirurgicaux.

Le décalage entre le bilan officiel et la revendication du pirate

Sur un forum cybercriminel, breach3d ^[7] a mis en vente une base de 18 à 19 millions d’enregistrements ^[16]. Le ministère, lui, retient 11,7 millions de comptes ^[4]. L’écart, de plusieurs millions, n’est pas anodin: il représente à lui seul davantage que la population de la région Hauts-de-France. Deux hypothèses: soit le pirate gonfle son produit pour faire monter les enchères, soit le périmètre réel dépasse ce que l’État a reconnu publiquement. Les investigations de l’ANSSI ^[17] et de l’Office anti-cybercriminalité ^[18] sont toujours en cours.

Septembre 2025 - avril 2026: le trou noir entre deux incidents

Ce n’est pas la première fois. En septembre 2025 ^[19], un fichier présenté comme provenant de l’ANTS avait déjà été mis en vente sur le darkweb. Selon les sources, le volume compromis oscillait entre 12,7 millions ^[20] et près de 13 millions ^[21] de données - un écart qui s’explique probablement par le périmètre retenu pour l’échantillon analysé. L’agence avait alors nié toute intrusion, invoquant des « incohérences » dans l’échantillon disponible ^[22] et affirmant qu’« aucune intrusion n’avait été détectée dans ses systèmes » ^[23]. Un dépôt de plainte avait été annoncé ^[24], et la communication officielle mise à jour le 12 novembre 2025 ^[25] maintenait cette ligne de défense.

Quelques mois plus tard, le même portail est à nouveau compromis - cette fois avec une reconnaissance officielle. Entre ces deux dates, aucune communication publique de l’ANTS n’a fait état de mesures correctives, d’audit de sécurité ou de refonte de l’API incriminée. Ni les rapports d’activité de l’agence, ni les communiqués du ministère de l’Intérieur, ni les réponses aux questions parlementaires disponibles ne mentionnent le moindre chantier de sécurisation lancé à la suite de l’alerte de septembre. Si des mesures ont été prises, elles n’ont pas été rendues publiques; si elles ne l’ont pas été, c’est l’absence même d’audit déclenché par un premier signalement sérieux qui interroge. Deux incidents majeurs en peu de temps sur la plateforme qui centralise les démarches de cartes d’identité, passeports et permis de conduire ^[26]: la continuité de la vulnérabilité est, en soi, le cœur du scandale.

La critique la plus frontale est venue de Me Yann-Maël Larher ^[27], avocat au barreau de Paris spécialisé en droit du numérique, sur RMC le 21 avril ^[28]: « Ce ne sont plus des défaillances, c’est quelque chose de systématique » ^[29]. Et d’enchaîner: « Tous les 2 mois, une grande agence de l’État perd nos données » ^[30]. Il rappelle que France Travail a perdu plus de 30 millions de données ^[31] - un chiffre que la CNIL a, selon plusieurs sources, retenu à hauteur de 36,8 millions de personnes dans sa décision de sanction. Son verdict: « L’État s’est piégé un peu lui-même, s’est mis aussi au numérique mais n’a pas tiré les conséquences du RGPD: il est responsable de la protection des données » ^[32].

Le cadre pénal: ce que risque le hacker, ce que doit l’État

L’incident a été notifié à la CNIL conformément à l’article 33 du RGPD ^[33], qui impose à tout responsable de traitement de signaler une violation de données dans les 72 heures. Un signalement a également été transmis à la Procureure de la République de Paris ^[34] dès le 16 avril ^[35], et les investigations confiées à l’Office anti-cybercriminalité ^[36]. Laurent Nuñez ^[37], qui a la tutelle de l’ANTS, a saisi l’Inspection générale de l’administration ^[38] pour établir la chaîne de responsabilité.

Côté infractions, l’arsenal est connu. L’article 323-1 du Code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, avec des peines aggravées lorsque l’intrusion entraîne la modification ou la suppression de données, selon plusieurs sources. L’article 226-18 du même code sanctionne la collecte déloyale ou frauduleuse de données à caractère personnel - peine directement applicable au pseudonyme breach3d s’il est un jour identifié. À cette double qualification s’ajoutent, du côté du responsable de traitement, les sanctions administratives de la CNIL prévues par l’article 83 du RGPD.

« Prévenus par mail »: anatomie d’une contradiction institutionnelle

Dans son communiqué du 21 avril ^[39], le ministère de l’Intérieur affirme que « l’ensemble des usagers dont les données ont été aspirées ont été prévenus par les services de l’État par mail » ^[40]. Formulation au passé composé, sans ambiguïté: l’opération est présentée comme achevée. Le lendemain, le média spécialisé Les Numériques contacte un échantillon de victimes potentielles et constate qu’aucune n’a reçu le moindre mail d’avertissement de la part de l’ANTS ^[41]. Interrogé à nouveau, le ministère rectifie alors: l’information aux usagers particuliers « est toujours en cours de réalisation » ^[42].

Entre les deux déclarations, moins de 48 heures - et un changement radical de sens. Soit les services de l’État ont délibérément présenté comme acquis un processus non engagé, soit ils ignoraient eux-mêmes l’état d’avancement des notifications qu’ils annonçaient publiquement. Aucune des deux hypothèses n’est rassurante. Sur RMC, Me Larher pointait précisément ce travers: « L’État est censé signaler aux gens quand ils sont concernés par une fuite de données, via SMS, appel ou mail mais peu de gens reçoivent une notification » ^[43]. L’article 34 du RGPD impose pourtant cette communication « dans les meilleurs délais » lorsque la violation est susceptible d’engendrer un risque élevé pour les droits des personnes. Un critère manifestement rempli ici.

Un précédent: l’affaire France Travail

On se souvient de l’affaire France Travail: des dizaines de millions de personnes - demandeurs d’emploi actuels et anciens inscrits - voyaient leurs données personnelles exfiltrées, selon plusieurs sources. La CNIL avait ouvert une enquête. Dans ce cas comme à l’ANTS, la même configuration: une faille technique évitable, une notification tardive ou incomplète des victimes, et une reconnaissance officielle arrachée aux faits plutôt qu’anticipée.

Ce que les usagers doivent faire concrètement

Le ministère recommande de changer le mot de passe du compte à la prochaine connexion ^[44] et de faire preuve de la plus grande vigilance face aux messages suspects émanant en apparence de l’ANTS ^[45]. Les usagers doivent aussi se méfier des SMS de prétendus livreurs ou de faux avis d’amende ^[46], et ne jamais communiquer d’informations personnelles par téléphone ^[47]. En cas d’escroquerie avérée, la plateforme Thesee ^[48] permet de signaler et déposer plainte en ligne. Pour toute question, le numéro d’urgence ANTS est le 3400 ^[49] (09 70 83 07 07 depuis l’Outre-Mer et l’étranger ^[50]).

L’angle mort

Ce que le communiqué du ministère ne dit pas, c’est que la faille exploitée - une IDOR sur une API publique - figure depuis des années dans le top 10 de l’OWASP, la référence mondiale des vulnérabilités web, selon plusieurs sources. Ce n’est pas une attaque sophistiquée d’un État hostile. C’est l’erreur que n’importe quel audit de sécurité basique aurait dû détecter. Quand le hacker lui-même qualifie la brèche de « vraiment stupide » ^[8], il décrit la dette technique accumulée sur une plateforme qui gère les titres d’identité des Français. Le précédent de septembre 2025 ^[51] aurait dû déclencher un audit complet. Quelques mois plus tard, la même architecture était encore exposée. Les comptes ne mentent pas.

► Lire aussi: un hacker arrêté après une centaine de cyberattaques